Gebruikerswachtwoorden beheren

Controlenaam

Wachtwoordbeleid

Aanbevolen configuratie

Wachtwoordbeleidsvormen worden geconfigureerd in Wachtwoordbeleidsvormen:

• Set-upwachtwoord - Set-up>Wachtwoordbeleid
• Wachtwoorden voor alle gebruikers laten verlopen - 90 dagen, niet selecteren - "Vervalt nooit"
• Wachtwoordhistorie afdwingen - 5 wachtwoorden onthouden, niet selecteren - "Geen wachtwoorden onthouden"
• Minimale wachtwoordlengte - 12
• Vereiste voor wachtwoordcomplexiteit - Moet 3 van de volgende bevatten: cijfers, hoofdletters, kleine letters, speciale tekens
• Vereiste voor wachtwoordvraag - Kan wachtwoord niet bevatten
• Maximale aantal ongeldige inlogpogingen - 3
• Ingangsperiode uitsluiting - 15 minuten
• Onduidelijk geheim antwoord voor opnieuw instellen van wachtwoord - Selecteren
• Levensduur van wachtwoord van minimaal 1 dag vereisen - Selecteer
• Gebruik van de API setPassword() toestaan voor zelfresets - Deselecteren

Overzicht van besturingselementen

Wachtwoordbeleidsvormen in Salesforce zijn bedoeld om robuuste authenticatiestandaarden af te dwingen, zoals complexiteit, lengte en vervaldatum, om ongeoorloofde toegang via "Brute Force"- of "Credential Stuffing"-aanvallen te voorkomen.

Beveiligingsrisico indien niet geconfigureerd

Zwakke of onveranderde wachtwoorden worden een gemakkelijk doelwit voor "Brute Force"- en "Credential Stuffing"-aanvallen, waardoor ongeautoriseerde gebruikers hun weg naar uw CRM kunnen raden. Zonder strikt beleid kan een aanvaller proberen om het inloggegeven met minder moeite te testen totdat deze een account heeft gecompromitteerd en onbeperkte toegang tot uw gevoelige bedrijfsgegevens heeft verkregen.

Dreigingsscenario's

Een aanvaller gebruikt een lijst van veelvoorkomende of geschonden wachtwoorden van andere websites om een Credential Stuffing-aanval uit te voeren op uw Salesforce-inlogpagina, waarbij het zwakke wachtwoord van een nietsvermoedende gebruiker wordt geraden. Omdat er geen uitsluitingen of complexiteitsregels worden afgedwongen, kan de aanvaller duizenden combinaties proberen totdat deze toegang krijgt, waarna deze kan inloggen om eigen klantenlijsten en interne strategiedocumenten te exfiltreren.

Geschatte CVSS-scorebereik

Kritiek (9,0–10,0).

Overwegingen bij risico-impact

De ernst van het risico is afhankelijk van de grootte van de gebruikerspopulatie, toegangsprivileges die worden verleend bij inloggen.

Hoger risico wanneer

Gebruikersidentiteitsverificatie is niet aanwezig (MFA of andere) en gecentraliseerde authenticatie (zoals SSO) is niet aanwezig.

Laag of geen risico wanneer

Deze controle kan als laag risico worden beschouwd wanneer een of meer van de volgende zaken worden geïmplementeerd:

• MFA-afdwinging of identiteitsverificatie is ingeschakeld: MFA wordt afgedwongen voor Salesforce-gebruikers
• Gecentraliseerde SSO: SSO wordt geconfigureerd voor alle gebruikersprofielen in het platform. Voor beheerdersgebruikers kan SSO-configuratie worden uitgesloten om het potentiële risico op SSO-storingen op te vangen door een strak gecontroleerde break glass-account te maken (zoals het gebruik van Vault).
• Strikt wachtwoordbeleid: Strikt wachtwoordbeleid dat frequente wachtwoordrotatie/vervaldatum omvat

Overwegingen bij bedrijf en integratie

Klanten moeten evalueren hoe hun authenticatieproces is geïmplementeerd tussen verschillende profielen en integratiegebruikers.

Aanbevolen oplossing

Stel wachtwoordbeleidsvormen in Salesforce- of IdP-configuratie in om te voldoen aan beveiligingsnormen.

Begeleiding bij beoordeling van beveiligingstoestand

Beoordeling van beveiligingstoestand identificeert de platformconfiguratie die is gerelateerd aan wachtwoordbeleid en die rechtstreeks in het platform is geconfigureerd. Als een afzonderlijke IdP wordt gebruikt met SSO-configuratie, moeten klanten ervoor zorgen dat het wachtwoordbeleid in overeenstemming is met de beveiligingsnormen voor de onderneming en de best practice in de sector.